SLES Live Patching Configuratiehandleiding: Kernelupdates toepassen zonder opnieuw op te starten

Wat doet SLES live patching?

SUSE Linux Enterprise Server (SLES) Kernel Live Patching (KLP) past ondersteunde kernelpatches toe op een draaiend systeem zonder het opnieuw op te starten. Op SLES 15 SP7 levert SUSE deze patches als kernel live patch-pakketten die overeenkomen met een specifieke kernelrevisie. De uname -ruitvoer blijft daarom hetzelfde na een succesvolle live patch; gebruik de KLP-tools om de patchstatus te controleren.

Live-patching vermindert de noodzaak voor onmiddellijke onderhoudsherstarts, maar het elimineert niet de noodzaak tot het plannen van een kernelherstart. Live-patches bevatten geselecteerde kritieke correcties; ze vervangen geen reguliere kernelupdates, servicepack-onderhoud of correcties die een herstart vereisen. SUSE kan mogelijk niet voor elke geschikte correctie een live-patch maken. Houd een gepland herstarttraject aan voor het installeren van een nieuwere basiskernel en het toepassen van correcties die niet direct via een patch kunnen worden doorgevoerd.

Deze handleiding volgt de SLES 15 SP7-procedure zoals beschreven in de SUSE- beheerhandleiding Kernel Live Patching with KLP . Raadpleeg de documentatie voor uw specifieke servicepack en architectuur voordat u opdrachten uitvoert op een productiehost.

Snel naslagwerk

Voordat KLP wordt ingeschakeld

• Controleer of de host een ondersteund SLES 15-servicepack en -architectuur gebruikt. De onderstaande SP7-procedure gebruikt het x86_64-extensievoorbeeld; lees de uitvoer van de extensie op uw eigen host in plaats van een ander product- of architectuurpad te kopiëren.
• Zorg ervoor dat zowel het SLES-abonnement als de afzonderlijke SLE Live Patching-licentie actief zijn en vraag de Live Patching-registratiecode aan bij SUSE Customer Center.
• Controleer of de host de geconfigureerde SUSE-repositories of de gespiegelde updateservice van uw organisatie kan bereiken. Controleer voor beheerde fleets of de repositorykanalen de bijbehorende live patch-inhoud bevatten.
• Leg uname -rde recente systeemstatus en het huidige onderhoudsplan vast. Test de procedure indien mogelijk op een representatieve server die niet in productie is.
• Behoud het normale proces voor kernelupdates en herstarten. Live patching vermindert de urgentie voor sommige fixes; het zorgt er niet voor dat een draaiende kernel voor onbepaalde tijd actueel blijft.

Schakel SLES 15 SP7 kernel live patching in.

1. Controleer de beschikbare extensieopdrachten

Open de extensielijst en zoek de exacte SLE Live Patching-vermelding voor het geïnstalleerde product:

sudo SUSEConnect --list-extensions

Voor SLES 15 SP7 op x86_64 beschrijft SUSE een activeringspad zoals [hier volgt een voorbeeld van het activeringspad] sle-module-live-patching/15.7/x86_64. De uitvoer op uw host is leidend: controleer of de versie en architectuur overeenkomen voordat u verdergaat.

2. Registreer de Live Patching-extensie

Gebruik de activeringsopdracht die wordt weergegeven door SUSEConnect --list-extensions, en vervang deze door uw geldige registratiecode. Voorbeeld voor SLES 15 SP7 x86_64:

sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 \
  -r LIVE_PATCHING_REGISTRATION_CODE

Plak geen echte registratiecode in gedeelde tickets, shell-transcripten of openbare logboeken. Als de registratie mislukt, controleer dan de code, de abonnementsstatus, het productpad, de netwerktoegang en of de machine al is geregistreerd bij de verwachte SUSE Customer Center-organisatie.

3. Installeer het gewenste patroon

Installeer het Live Patching-softwarepatroon en de bijbehorende afhankelijkheden:

sudo zypper install -t pattern lp_sles

Bekijk de door Zypper voorgestelde wijzigingen voordat u ze bevestigt. Het installatiepatroon installeert de basis KLP-componenten en de eerste live patch. Wanneer de pakketbeheerder een live patch voor de actieve kernel vindt in een ingeschakelde repository, kan de actieve kernel tijdens de pakketinstallatie worden gepatcht. Of er een oplossing beschikbaar is, hangt af van de exacte kernelrevisie en de inhoud van de repository.

Voer de updates uit en controleer het resultaat.

Na activering installeert u live patchpakketten via het reguliere SLES-updateproces. Vernieuw eerst de metagegevens van de repository en controleer de beschikbare patches. Pas vervolgens de updates toe volgens de normale wijzigingscontroles van uw organisatie, bijvoorbeeld:

sudo zypper refresh
sudo zypper patch

Lees de voorgestelde transactie zorgvuldig door. Live patchpakketten voor de actieve kernel kunnen worden geïnstalleerd zonder opnieuw op te starten, maar een reguliere kernelupdate kan nog steeds om een ​​herstart vragen. Onderdruk die prompt niet en blokkeer kernelupdates niet als permanente oplossing. Als een nieuwere basiskernel is geïnstalleerd, plan dan een gecontroleerde herstart om deze te starten en de kernelonderhoudscyclus te voltooien.

Controleer de live patch onafhankelijk van de kernel release string:

uname -r
sudo klp status
sudo klp -v patches
zypper se --details 'kernel-livepatch-*'

Gebruik dit klp statusvoor de operationele status en klp -v patchesvoor patchdetails, inclusief de oplossingen die door de actieve patch worden aangepakt. SUSE merkt op dat dit uname -rniet verandert voor een gepatchte kernel. De aanwezigheid van een geïnstalleerd pakket alleen is onvoldoende bewijs dat de verwachte patch is geladen; controleer de KLP-statusuitvoer.

Operationele limieten en herstartbeslissingen

• De dekking is selectief. SUSE geeft aan dat de dekking beveiligingslekken van niveau 7 en hoger volgens SUSE CVSS omvat, evenals oplossingen voor stabiliteitsproblemen of gegevenscorruptie. Technische beperkingen betekenen echter dat niet elk in aanmerking komend probleem een ​​actuele patch ontvangt.
• Patches zijn kernelspecifiek en cumulatief. Een live patchpakket is gericht op een exacte kernelrevisie. Het nieuwste pakket voor één kernel patcht niet automatisch een andere kernelrevisie.
• Basiskernelupdates blijven belangrijk. Live patches bieden tijdelijke bescherming voor geselecteerde bugfixes. Reguliere kernelupdates vereisen mogelijk een herstart en brengen andere wijzigingen met zich mee.
• Ondersteuning heeft een beperkte geldigheidsduur. De SLES 15 SP7-handleiding vermeldt dat live patches gedurende 13 maanden na de release van het onderliggende kernelpakket updates ontvangen. Controleer de actuele datums met behulp van de lifecycle-gegevens en de actuele live patch- en onderhouden kerneltabel van SUSE .
• Niet alle architecturen of producten gebruiken dezelfde commando's. De SLES 15 SP7 KLP-handleiding identificeert AMD64/Intel 64, POWER en IBM Z. Controleer uw productspecifieke handleiding en abonnementsrechten vóór de uitrol.

Checklist voor probleemoplossing

Als een nieuw geïnstalleerde live patch een probleem lijkt te veroorzaken, onderbreek dan de verdere uitrol en controleer de kernel-logboeken en de status van de services. SUSE beschrijft een handmatige downgradeprocedure voor geschikte systemen, maar waarschuwt dat hosts die al kernelwaarschuwingen of foutmeldingen vertonen, mogelijk niet geschikt zijn. Gebruik de juiste patchpakketversie en neem contact op met SUSE Support als de systeemstatus onduidelijk is; probeer geen downgrade uit te voeren op een productiekernel.

Implementatiechecklist

1. Valideer het SLES-servicepack, de architectuur, de abonnementen en de repositorykanalen.
2. Registreer de actieve kernel en de basisstatus van de host.
3. Registreer en installeer de SLE Live Patching-extensie lp_sles.
4. Voer updates door via de normale pakketworkflow en controleer elke transactie.
5. Bevestig de geladen patch met klp statusen klp -v patches.
6. Houd de datums van de patchlevenscyclus bij en plan regelmatige herstarts van de basiskernel.

Voor vlootbeheer gebruikt u de beproefde SUSE-beheerworkflow van uw organisatie en controleert u of de kanalen de bijbehorende live patchpakketten beschikbaar stellen. De officiële documentatie voor het instellen van kanalen in SUSE Multi-Linux Manager beschrijft de voorbereiding van kanalen voor SLES 15 SP7.